Bewerkersovereenkomst

in aanmerking nemende dat

• Verantwoordelijke de beschikking heeft over persoonsgegevens van diverse betrokkenen;
• Verantwoordelijke ten behoeve van de uitvoering van de overeenkomst(en) die met Bewerker is/zijn gesloten (hierna: ‘’Overeenkomst(en)’’), gegevens wil laten verwerken door Bewerker, teneinde het  hosten van deze gegevens;
• Bewerker geen inzicht heeft in het soort gegevens dat door hem verwerkt wordt;
• Verantwoordelijke aangemerkt kan worden als verantwoordelijke in de zin van artikel 1 sub d van de Wet bescherming persoonsgegevens (hierna: ‘’Wbp’’);
• Bewerker aangemerkt kan worden als bewerker in de zin van artikel 1 sub e van de Wbp;
• Partijen, mede gelet op het vereiste uit artikel 14 lid 5 van de Wbp, hun rechten en plichten schriftelijk wensen vast te leggen middels deze bewerkersovereenkomst (hierna: “Bewerkersovereenkomst”);
• Waar gerefereerd wordt aan (bepalingen uit) de Wbp, per 25 mei 2018 (de corresponderende bepalingen uit) de Algemene Verordening Gegevensbescherming (hierna: “AVG”) worden bedoeld.

Artikel 1. Doeleinden van verwerking

1.1 Bewerker verbindt zich onder de voorwaarden van deze Bewerkersovereenkomst in opdracht van Verantwoordelijke persoonsgegevens te verwerken. Verwerking zal uitsluitend plaatsvinden in het kader van het hosten van gegevens van Verantwoordelijke, plus die doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald. 1.2 Bewerker zal de persoonsgegevens niet voor enig ander doel verwerken dan zoals tussen Partijen overeengekomen. 1.3 De in opdracht van Verantwoordelijke te verwerken persoonsgegevens blijven eigendom van Verantwoordelijke en/of de betreffende betrokkenen.

Artikel 2. Verplichtingen Bewerker

2.1 Ten aanzien van de in artikel 1 genoemde verwerkingen zal Bewerker zorg dragen voor de naleving van de toepasselijke wet- en regelgeving, waaronder in ieder geval begrepen de wet en regelgeving op het gebied van de bescherming van persoonsgegevens, zoals de Wbp. 2.2 De verplichtingen van de Bewerker die uit deze Bewerkersovereenkomst voortvloeien, gelden ook voor degenen die persoonsgegevens verwerken onder het gezag van Bewerker, waaronder begrepen maar niet beperkt tot werknemers, in de ruimste zin van het woord.

Artikel 3. Doorgifte van persoonsgegevens

3.1 Bewerker mag de persoonsgegevens verwerken in landen binnen de Europese Unie. Doorgifte naar landen buiten de Europese Unie is toegestaan, mits aan de wettelijke voorwaarden daarvoor voldaan is. 3.2 Bewerker zal Verantwoordelijke, indien zij daarom expliciet verzoekt, melden in welk land of landen de persoonsgegevens worden verwerkt.

Artikel 4. Verdeling van verantwoordelijkheid

4.1 Bewerker is louter verantwoordelijk voor de verwerking van de persoonsgegevens onder deze Bewerkersovereenkomst, overeenkomstig de instructies van Verantwoordelijke en onder de uitdrukkelijke (eind)verantwoordelijkheid van Verantwoordelijke. Voor de overige verwerkingen van persoonsgegevens, waaronder in ieder geval begrepen maar niet beperkt tot de verzameling van de persoonsgegevens door de Verantwoordelijke, verwerkingen voor doeleinden die niet door Verantwoordelijke aan Bewerker zijn gemeld, verwerkingen door derden en/of voor andere doeleinden, is Bewerker uitdrukkelijk niet verantwoordelijk. 4.2 Verantwoordelijke garandeert dat de inhoud, het gebruik en de opdracht tot de verwerkingen van de persoonsgegevens zoals bedoeld in de Bewerkersovereenkomst, niet onrechtmatig is en geen inbreuk maken op enig recht van derden, en vrijwaart Bewerker tegen alle aanspraken en claims die hiermee verband houden.

Artikel 5. Inschakelen van derden of onderaannemers

5.1 Verantwoordelijke geeft Bewerker hierbij toestemming om bij de verwerking van persoonsgegevens op grond van deze Bewerkersovereenkomst, gebruik te maken van derden (subbewerkers), met inachtneming van de toepasselijke privacywetgeving. 5.2 Op eerste verzoek van Verantwoordelijke verstrekt Bewerker aan Verantwoordelijke een lijst met namen van ingeschakelde derden. Op basis hiervan kan Verantwoordelijke op redelijke gronden bezwaar aantekenen tegen het inschakelen van deze derden. In dat geval treden partijen in overleg om tot een werkbare oplossing te komen. 5.2 Bewerker zorgt er voor dat deze derden schriftelijk dezelfde plichten op zich nemen als tussen Verantwoordelijke en Bewerker is overeengekomen.

Artikel 6. Beveiliging en audit

6.1 Bewerker zal zich inspannen voldoende technische en organisatorische maatregelen te nemen met betrekking tot de te verrichten verwerkingen van persoonsgegevens, tegen verlies of tegen enige vorm van onrechtmatige verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van de persoonsgegevens). De wijze van beveiliging is echter mede afhankelijk van de diensten die door Verantwoordelijke zijn afgenomen zoals omschreven in de Overeenkomst. Op verzoek van Verantwoordelijke overlegt Bewerker een overzicht van de getroffen maatregelen, naar alle redelijkheid en voor zover relevant voor de dienstverlening en/of informatievergaring van Verantwoordelijke. Bewerker staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. 6.2 Verantwoordelijke stelt enkel persoonsgegevens aan Bewerker ter beschikking voor verwerking, indien zij zich er van heeft verzekerd dat de passende beveiligingsmaatregelen zijn getroffen. Verantwoordelijke is verantwoordelijk voor de naleving van de door Partijen afgesproken maatregelen. 6.3 Verantwoordelijke heeft het recht om ten minste eenmaal per kalenderjaar een audit uit te laten voeren door een onafhankelijke auditor die aan geheimhouding is gebonden, ter controle van naleving van de afspraken uit deze Bewerkersovereenkomst omtrent de beveiliging van de persoonsgegevens die Bewerker ten behoeve van Verantwoordelijke verwerkt. 6.4 Deze audit vindt uitsluitend plaatst nadat Verantwoordelijke de bij Bewerker aanwezige soortgelijke rapportages heeft opgevraagd, beoordeeld en redelijke argumenten aanbrengt die een door Verantwoordelijke geïnitieerde audit alsnog rechtvaardigen. Een dergelijke audit wordt gerechtvaardigd wanneer de bij Bewerker aanwezige soortgelijke rapportages geen of onvoldoende uitsluitsel geven over het naleven van deze Bewerkersovereenkomst door Bewerker of dat over die naleving door Bewerker gerede twijfel bij Verantwoordelijke bestaat. 6.5 Verantwoordelijke zal de wens voor het uitvoeren van de audit vooraf, met inachtneming van een termijn van minimaal twee weken, aankondigen aan Bewerker. Bewerker zal vervolgens een beschikbare datum, die niet later dan vier weken na de aankondiging van Verantwoordelijke plaatsvindt, voor de uitvoering van de audit doorgeven aan Verantwoordelijke. 6.6 De audit zal zodanig worden uitgevoerd dat de bedrijfsvoering van Bewerker zo min mogelijk wordt verstoord. 6.7 De bevindingen naar aanleiding van de uitgevoerde audit zullen door Partijen in onderling overleg worden beoordeeld en, naar aanleiding daarvan, voor zover dat redelijk is in het kader van de uitvoering van de Overeenkomst al dan niet worden doorgevoerd door één van de Partijen of door beide Partijen gezamenlijk. Het is mogelijk dat aan de doorvoering van de bevindingen door Bewerker kosten zijn verbonden. Partijen zullen de uitkomsten en bevindingen van de audit vertrouwelijk behandelen. 6.8 De kosten voor de audit zoals omschreven in lid 1 worden gedragen door Verantwoordelijke. Tevens worden de kosten voor de inzet van de Compliance Officers van Bewerker gedurende de audit gedragen door Verantwoordelijke. Indien uit de controle blijkt dat Bewerker materieel tekortschiet in de nakoming van deze Bewerkersovereenkomst, komen de redelijke kosten voor rekening van Bewerker.

Artikel 7. Geheimhouding en vertrouwelijkheid

7.1 Op alle persoonsgegevens die Bewerker van Verantwoordelijke ontvangt in het kader van deze Bewerkersovereenkomst, rust een geheimhoudingsplicht jegens derden. 7.2 Deze geheimhoudingsplicht is niet van toepassing voor zover Verantwoordelijke uitdrukkelijke toestemming heeft gegeven om de informatie aan derden te verschaffen, indien het verstrekken van de informatie aan derden logischerwijs noodzakelijk is gezien de aard van de verstrekte opdracht en de uitvoering van deze Bewerkersovereenkomst of indien er een wettelijke verplichting bestaat om de informatie aan een derde te verstrekken.

Artikel 8. Afhandeling verzoeken van betrokkenen

8.1 In het geval dat een betrokkene een verzoek tot inzage, zoals bedoeld in artikel 35 Wbp, of verbetering, aanvulling, wijziging of afscherming, zoals bedoeld in artikel 36 Wbp, richt aan Bewerker, zal Bewerker dit verzoek doorsturen aan Verantwoordelijke, en Verantwoordelijke zal het verzoek verder afhandelen. Bewerker mag de betrokkene daarvan op de hoogte stellen.

Artikel 9. Meldplicht

9.1 In het geval dat Bewerker een beveiligingslek en/of een datalek constateert (een inbreuk op de beveiliging van persoonsgegevens die leidt tot een aanzienlijke kans op nadelige gevolgen, dan wel nadelige gevolgen heeft, voor de bescherming van persoonsgegevens, in de zin van artikel  34a Wbp), zal Bewerker zich naar beste kunnen inspannen om Verantwoordelijke daarover zo spoedig mogelijk te informeren, doch uiterlijk binnen 48 uur nadat Bewerker kennisneemt van het beveiligingsincident, naar aanleiding waarvan Verantwoordelijke beoordeelt of zij de betrokkenen zal informeren of niet. Verantwoordelijke is en blijft verantwoordelijk voor een eventuele wettelijke verplichtingen daartoe. 9.2 Een melding moet alleen bij gebeurtenissen met grote impact worden gedaan, en alleen als de gebeurtenis zich daadwerkelijk voorgedaan heeft. 9.3 Indien de wet- en/of regelgeving dit vereist zal Bewerker, tegen vergoeding van de kosten die zij daarvoor maakt, meewerken aan het informeren van de ter zake relevante autoriteiten en eventueel betrokkenen

Artikel 10. Duur en beëindiging

10.1 Deze Bewerkersovereenkomst is aangegaan voor de duur zoals bepaald in de Overeenkomst, en bij gebreke daarvan voor de duur van de samenwerking. 10.2 De Bewerkersovereenkomst kan tussentijds niet worden opgezegd. 10.3 Partijen mogen deze Bewerkersovereenkomst alleen wijzigen met wederzijdse instemming. 10.4 Zodra deze Bewerkersovereenkomst, om welke reden en op welke wijze dan ook, is beëindigd, zal Bewerker alle persoonsgegevens die bij hem aanwezig zijn verwijderen en/of vernietigen, tenzij Partijen anders zijn overeengekomen.

Artikel 11. Overige bepalingen

11.1 De Bewerkersovereenkomst en de uitvoering daarvan worden beheerst door Nederlands recht. 11.2 Alle geschillen, welke tussen Partijen mochten ontstaan in verband met de Bewerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter voor het arrondissement waarin Bewerker gevestigd is. 11.3 Logs en gedane metingen door Bewerker gelden als dwingend bewijs, behoudens tegenbewijs te leveren door Verantwoordelijke. [wpgdprc_access_request_form]